今週のレポートでは、CTIが、「アース・ロンジー」と呼ばれる、これまで記録されていなかった APT41のサブグループの発見に関する戦術情報レポートを調査しています。 続いて、オーストラリア政府が提案している、ランサムウェアおよび身代金支払いの禁止措置の導入に関する概要をご紹介します。これに伴い、サイバー犯罪者、セキュリティ専門家、法執行機関、サイバー保険会社などにとってどのような影響が考えられるかについても考察します。 また、Twitterにおける最近の動向の概要や、同社の経営陣の交代が、このソーシャルメディアプラットフォームのセキュリティ体制にどのような影響を与えているとセキュリティ専門家が考えているかについても取り上げています。
1. Earth Longzhi：カスタムSymatic Cobalt Strikeローダーを使用した新しい APT41 サブグループ
トレンドマイクロ (新しいタブで開きます) は最近、中国政府の支援を受けるハッキンググループ「 」、 APT41 (新しいタブで開きます) の、これまで未報告だったサブグループ「Earth Longzhi」の存在を明らかにしました。 このサブグループは 2020 年から活動を続けており、Cobalt Strikeのローダーのカスタマイズ版を使用して、標的システムに永続的なバックドアを仕込んでいます。
トレンドマイクロは、 2022 年初頭に台湾のある企業が攻撃を受けた事案について調査を行いました。 このインシデントで悪用されたマルウェアは、カスタマイズされたCobalt Strikeローダーであり、これにより研究者たちは、同様のローダーが使用された、 2020年にさかのぼるさらなるインシデントを突き止めました。 トレンドマイクロはこのグループを「Earth Longzhi」と名付け、同グループによる2件の大規模な攻撃キャンペーンを確認しました。
「Earth Longzhi」マルウェアによる初の攻撃キャンペーン
第1回「Earth Longzhi」キャンペーンは、 2020年5月 から 2021年2月 にかけて実施され、台湾の政府機関、インフラ、学術機関、医療業界に加え、中国の銀行業界を標的としました。
このキャンペーンでは、マルウェアを配布するための主な侵入経路として、スピアフィッシングメール を活用し、その他のカスタムハッキングツールに加え、カスタム製のCobalt Strikeローダーである「Symaticローダー」も利用していました。
Earth Longzhiは、エクスプロイト後の活動のために、オールインワンのハッキングツールを準備し、活用しています。 このオールインワンツールは、必要なユーティリティをすべて1つのパッケージにまとめ、一般に公開されているものや、過去の攻撃で利用されたものを多数含んでいます。 これにより、攻撃者は単一の実行ファイルを使用しながら、複数の操作を実行することが可能になります。 その機能には、より高い権限でプロセスを起動すること、ローカルまたはリモートのドライブに関する情報を収集すること、ファイルのタイムスタンプを変更すること、Windows ファイル保護を無効にすることなどが含まれます。
第2次キャンペーン
2回目のキャンペーンは、 2021年8月 から 2022年6月 にかけて実施され、台湾、中国、タイ、マレーシア、インドネシア、パキスタン、ウクライナの防衛、航空、保険、都市開発業界の著名な被害者を標的としました。
前回のキャンペーンと同様、今回のキャンペーンでも、初期の侵入手段として主にスピアフィッシングメールが利用されました。Earth Longzhiは、このキャンペーンにおいて、トレンドマイクロが「CroxLoader」、「BigpipeLoader」、「OutLoader」、「MultipipeLoader」と名付けた、さまざまな種類のカスタマイズされたCobalt Strikeローダーを展開しました。
トレンドマイクロは、2回目の攻撃キャンペーンを調査する過程で、複数のハッキングツールも収集しました。 収集されたツールは、権限昇格（PrintNightmareおよびPrintSpoofer）、認証情報のダンプ（Mimikatz）、および防御回避（セキュリティ製品の無効化）を目的としたものでした。 Earth Longzhiでは、公開されているツールを使用するのではなく、いくつかのオープンソースプロジェクトを基に、ツールを独自に再実装するか、あるいは独自に開発しています。
「地球・龍枝」の帰属
トレンドマイクロは、以下の要因に基づき、この活動を「 APT41’s サブグループ・アース・ロンジー」によるものと判断しました：
- 被害者分析：影響を受けた地域および標的となったセクターは、東アジアおよび東南アジアに位置する注目すべき国々であり、これは別のAPT 41 サブグループである Earth Baku （新しいタブで開きます）の被害者分析と類似しています。
- 共有されたCobalt Strikeのメタデータ： 研究者らによると、Cobalt Strikeのペイロードのほとんどが、同じ透かしと公開鍵を共有していることが判明しました。 この透かしと公開鍵の組み合わせは、他の APT41 のサブグループでも使用されており、Earth Longzhiが他のAPT41 のサブグループと同じCobalt Strikeチームサーバーを共有していることを示しています。
- コードの類似性： 研究者らは、Symatic Loader および CroxLoader の復号アルゴリズムが、GroupCC （新しいタブで開きます）、という別の APT41 サブグループで特定されたものと非常に類似していることを発見しました。
- 重複するTTP：Earth Longzhiは、GroupCCが活用しているPython Fastly CDNを採用し、実際のコマンド＆コントロール（C2）サーバーのアドレスを隠蔽しています。 研究者たちは、これが2つのサブグループの間に何らかの関係があることを示す証拠であると考えています。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
“APT41 は極めて洗練されており、その下位グループ（例えば「アース・ロンジー」など）については、通常その親組織に対して示されるのと同程度の注意を払うべきです。 トレンドマイクロが観測した2件の「Earth Longzhi」キャンペーンは数ヶ月にわたり続きました。この活動は2年以上にわたり犯行主体が特定されなかったことから、同グループの高度な手口と、作戦上のセキュリティ（OPSEC）への徹底した取り組みを裏付けるさらなる証拠となっています。
2。 オーストラリアは、ランサムウェアへの支払いの禁止を検討しています
オーストラリアでは現在、サイバー犯罪のビジネスモデルにおける恐喝的な側面を弱体化させる取り組みの一環として、ランサムウェアの身代金支払いの禁止を検討しています。
内務・サイバーセキュリティ担当大臣のクレア・オニール氏は、政府が包括的なサイバー戦略の一環として、ランサムウェアへの支払いを禁止するだけでなく、恐喝による支払いを犯罪化することも検討していることを明らかにしました。
オーストラリアがランサムウェアへの支払いを禁止する可能性がある理由
オーストラリアでは、最近、注目を集めるサイバーセキュリティインシデントが数多く発生しています。 最も注目すべき情報漏洩事例の一つは、今月初めに発生したのメディバンク事件です。 （新しいタブで開きます） オーストラリア最大手の民間健康保険会社の一つであるメディバンクは、最近、ハッカーが同社の顧客の個人データにアクセスすることに成功したことを明らかにしました。 同団体は、サイバー犯罪の専門家からの助言に基づき、攻撃者への身代金の支払いは行わないと表明しました。
メディバンクでの事件は、オーストラリア第2位の通信会社であるオプタス（Optus）が、サイバー攻撃を受けたわずか数週間後に発生しました。 （新しいタブで開きます）。 こうした攻撃が、最終的に、オーストラリア政府が現在、ランサムウェアへの支払いの禁止の可能性について検討するきっかけとなりました。
オーストラリアでは、他にどのような取り組みが行われているのでしょうか？
オーストラリアが身代金の支払いを全面的に禁止することを検討し始めたのは、同国の最高位の法執行機関であるオーストラリア連邦警察（AFP）と、サイバー・通信情報機関であるオーストラリア通信情報局（ASD）が、サイバー犯罪対策のために新たな恒久的な合同常設作戦を開始すると大臣が発表したわずか1日後のことでした。
この新たな取り組みは、「ランサムウェア脅威グループを最優先として、サイバー犯罪組織を壊滅させる」ことを目的としており、「情報収集を行い、首謀者、ネットワーク、インフラを特定することで、その所在地にかかわらず、彼らの活動を妨害し、阻止する」ものです。
オーストラリアのランサムウェア対策計画は成功するでしょうか？
ランサムウェアへの身代金支払いの禁止は、議論の分かれる提案であり、誰に尋ねるかによって、さまざまな反応が返ってくる可能性が高いものです。
ランサムウェアの身代金支払いを禁止する可能性のある措置の背景にある論理の多くは、ランサムウェア攻撃の被害者が犯罪者との交渉を余儀なくされるという、繰り返し指摘されてきた事実に帰着します。 そこで、当然の疑問が浮かびます。特に交渉の最中において、どうやって犯罪者を信頼すればよいのでしょうか？ 攻撃者は、身代金を支払えば、流出データが公開されることはなく、暗号化されたファイルも復元されると主張するかもしれませんが、結局のところ、その保証は一切ありません。
唯一確かなことは、身代金を支払うことは脅威の加害者を報いるだけであり、彼らの努力が効果的かつ実りあるものであることを証明することで、彼らに肯定的な強化を与えてしまうということです。 さらに、身代金を支払うことは、被害を受けた組織やその業界を、より大きな標的にしてしまう可能性があります。脅威アクターが、特定の企業・業界・国が身代金を支払う意思があることを察知すれば、その標的はさらに魅力的なものとなります。
その一方で、ランサムウェアの身代金支払いを犯罪化することは、意図した効果とは逆の結果を招く可能性があります。 『ザ・レコード』紙が指摘しているように、これにより「企業が規制当局の監視を避けるためにインシデントについて沈黙を余儀なくされ、攻撃の実態がさらに表に出にくくなる」可能性があります。
身代金の支払いを闇裏で強要することは、こうした犯罪を隠蔽し、法執行機関による対応を、すでに困難な状況にあるにもかかわらず、さらに困難なものにしてしまいます。
これはサイバー犯罪者にとってどのような意味を持つのでしょうか？
もしオーストラリアがランサムウェアへの支払いを禁止する方針を決定した場合、サイバー犯罪者たちはいくつかの方法で対応してくる可能性があります。
一方で、攻撃者たちは、オーストラリアをランサムウェア攻撃の標的として、もはや収益性の高い対象とは見なしていない可能性があります。 被害者が身代金を支払うことが違法であるのなら、なぜわざわざ手間と労力をかけてランサムウェア攻撃を行うのでしょうか？ そこから得られるものは何でしょうか？ もちろん、この結果は、ダウンタイムやサービス停止、評判の低下といったコストがどれほどかかろうとも、すべてのオーストラリアの組織が法律の条文を厳格に遵守することに尽力しているという前提に完全に依存しています。
攻撃者たちも、これを一種の挑戦として捉える可能性があります。 何しろ、ランサムウェアの被害に遭った企業は、身代金の支払いが犯罪とみなされるようになれば、その事実を隠そうとするかもしれません。 もしこのような事態が発生した場合、攻撃者は、最初の身代金の支払いを秘密にしておく見返りとして、追加の身代金を要求してくる可能性があります。これは、ランサムウェア攻撃者が恐喝の手口に加える、さらなる脅迫の手法となるでしょう。
また、攻撃者はランサムウェアから、他の収益獲得手段へと手口を切り替える可能性もあります。 脅威アクターが、オーストラリアから他の国へと活動の焦点を移すのか、それとも追加の身代金支払いの可能性を利用するのかは、現時点では不明です。
これがサイバー保険にどのような影響を与えるか
サイバー保険は、契約時期によって各社で異なりますが、多くの場合、サイバー攻撃に伴うその他の金銭的損失に加え、身代金の支払いも補償の対象となる場合があります。 身代金の支払いが犯罪とみなされるようになった場合、サイバー保険会社やサイバー保険に加入している企業は、既存の保険契約を見直し、変更を加える必要が生じるでしょう。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「オーストラリアが身代金の支払いを禁止することを検討していることは、ランサムウェア市場に大きな波紋を広げる可能性があります。」 「結局のところ、身代金の支払いを禁止したところでサイバー犯罪は根絶されず、むしろ攻撃者たちが手口を変えるきっかけとなる可能性が高いのです。」
「全面禁止の可能性は、ヴォルステッド法によってアルコールが禁止されたアメリカの禁酒時代を彷彿とさせます。」 この措置は、人々の飲酒を抑制するどころか、単にギャングによる暴力を激化させ、新たな闇市場を生み出す結果となりました。 「後者の状況は、身代金の支払いが全面的に禁止された後に生じる可能性が高いでしょう。」
「他にもさまざまな疑問が浮上しています。」 身代金支払いを禁止している国々において、サイバー犯罪者たちはランサムウェアから他の収益源へと転換するのでしょうか？ そして、脅威アクターたちは、これらの国々から完全に手を引くことになるのでしょうか？ CTIは、オーストラリアによる身代金支払いの禁止決定に関する動向を引き続き注視し、その決定によって生じる影響については随時記録していく所存です。」
3。 Twitterにおける深刻化するセキュリティ問題
Twitterは現在、経営陣や人員の入れ替えが続いていることから、さまざまなセキュリティ上のリスクに直面しています。
例えば、イーロン・マスク氏による買収を受けて、同社のセキュリティ部門のトップが最近辞任しました。
Politicoの記事によると：「Twitterの最高セキュリティ責任者ら (新しいタブで開きます) — 最高情報セキュリティ責任者（CISO）、最高プライバシー責任者（CPO）、最高コンプライアンス責任者（CCO）、および信頼・安全担当責任者を含む — は全員、連邦取引委員会（FTC）による調査が継続する中、マスク氏による新たな収益確保策（新しい認証マークポリシーなど）の実施に伴うリスクを理由に、木曜日に辞任しました。」
Twitterのセキュリティポリシーの実施を担当する幹部たちが相次いで辞任していることは、同社がハッカーからの攻撃に対抗する能力にとって、決して良い兆候とは言えません。 Twitterのサイバーセキュリティ体制は、すでに多くの人々にとって懸念事項となっており、今年初め、元セキュリティ責任者のPeiter Zatko氏によって、 の内部告発が提出されました。 （新しいタブで開きます） さて、状況はさらに悪化しているようです。
大幅な人員削減
すでに緊迫している状況をさらに悪化させているのが、Twitterが契約社員 5,500 人のうち4,000 人以上を解雇したという多数の報道です。
影響を受ける職種には、Twitterの「中核インフラサービス」を担う職種に加え、コンテンツモデレーションやマーケティング部門の職種も含まれているとのことです。 人員削減の影響を受けた人々によるさまざまな生のツイートを見る限り、Twitterの「信頼と安全」チームに所属する多くの従業員もまた、その影響を受けたようです。
同プラットフォームは、解雇の対応について多くの批判を浴びており、 （新しいタブで開きます） これについて、Twitterの元従業員からは、極めて非人間的な方法で実施されたと広く指摘されています。 多くの従業員はメールを通じて自身の処遇を知らされましたが、一方で、システムへのアクセス権が突然取り消されたにもかかわらず、自分たちで状況を把握せざるを得なかった従業員もいました。
セキュリティ上の主な懸念事項
Twitterにおける最大のセキュリティ上の懸念事項の一つは、同社が保管している膨大な量のデータに関連しており、それは単なるメールアドレスやパスワードにとどまりません。 また、同社は のダイレクトメッセージ受信箱内にもデータを保存しています。 （新しいタブで開きます） ただし、エンドツーエンドの暗号化は採用していません。
また、Twitterは、当初はプラットフォーム上の情報の信頼性を高めることを目的として導入された「青いチェックマーク」制度の抜本的な見直しを試みた結果、偽アカウントが蔓延したことによる余波にも悩まされています。
11月上旬、TwitterはiPhoneアプリで月額7.99 ドルの「Blue」サブスクリプションサービスを開始しました。 このサービスでは、ユーザーが「青いチェックマーク」を購入できるようになっていました。このマークは、以前はアカウントの信頼性や真正性を示すシンボルとして知られていました。 つい最近、ユーザーがTwitter Blueに登録できる機能がアプリから削除されました。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
「こうした最近の出来事による最も差し迫った、かつ目に見える影響は、株価の下落に加え、Twitterでの広告出稿を一時停止している広告主が増加していることです。 (新しいタブで開きます)」
「また、Twitterのセキュリティ担当者の大量離職がもたらす人的な損失についても、懸念すべき理由があります。」 あらゆる状況から判断すると、Twitterのセキュリティ体制全体（一部の報道によれば、まだ立ち上がったばかりの組織だったとのことですが）は、解体された可能性があります。」
「もちろん、Twitterにはすでに誤情報やデマ、詐欺が横行していました。」 「上述のような動向により、一般的なTwitterユーザーがこうした事象に遭遇する頻度は、指数関数的に増加する可能性が高いでしょう。」
「CTIは、ソーシャルメディアプラットフォーム上で何らかのやり取りを行う際には、十分にご注意いただくようお願いいたします。」 「すべてに疑問を抱きなさい。」
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ または Tanium のディスカッションフォーラム にアクセスして、会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最新の「」サイバー脅威インテリジェンスまとめをご覧ください。